#所有password用思科私有方式加密 系统密码作为可逆密文存储在配置中
conf t 
service password-encryption

交换机的端口安全-port-security的概念

port-security的功能:

1. 通过对限制接口的最大mac数量从而限制接入的主机用户 

2. 限定接口所连接的特定MAC,从而实现接入用户的限制 

依据: 通过安全地址判断-security MAC address

port-security 安全地址 secure mac address

当我们将接口允许的MAC地址数量设置为1并且为接口设置一个安全地址，那么这个接口将只为该MAC所属的PC服务，也就是源为该MAC的数据帧能够进入该接口

惩罚激活模式 violation

port-security 和sticky mac

默认的port-security配置

port-security disable

默认的最大允许安全MAC地址数量 1

惩罚模式 　　shutdown (进入err-disable状态)  #除了shutdown模式还有protect和restrict模式

port-security配置步骤

1. 进入接口激活port-security

2. 配置每个接口的安全地址(secure mac address)

3. 配置port-security惩罚机制  shutdown | protect | restrict 

4. (选做) 配置安全地址老化时间

port-security配置

tips:f0/1 is a dynamic port 

dynamic port不能启用Port Security，只有静态接入端口或中继端口才行。需要将模式切换为access。动态端口是自动识别的，既可以为access，也可以为trunk，所以要设为access模式。

1. 激活port-security(access口)

 1 Switch(config)#int f0/1
 2 Switch(config-if)#switchport mode access
 3 Switch(config-if)#switchport access vlan 10
 4 % Access VLAN does not exist. Creating vlan 10
 5 Switch(config-if)#exit
 6 Switch(config)#vlan 10
 7 Switch(config-vlan)#exit
 8 Switch(config)#vlan 20
 9 Switch(config-vlan)#exit
10 Switch(config)#switch access vlan 10 
11                 ^
12 % Invalid input detected at '^' marker.
13     
14 Switch(config)#int f0/1
15 Switch(config-if)#switchport access vlan 10
16 Switch(config-if)#switch port-security
17 Switch(config-if)#do sh port-security int f0/1 #查看接口的port-security状态
18 Port Security              : Enabled
19 Port Status                : Secure-up　　
20 Violation Mode             : Shutdown　　　　#违反策略的惩罚措施 
21 Aging Time                 : 0 mins　　　　　
22 Aging Type                 : Absolute
23 SecureStatic Address Aging : Disabled
24 Maximum MAC Addresses      : 1　　　　　　　　#最大的安全地址个数 默认为1
25 Total MAC Addresses        : 0
26 Configured MAC Addresses   : 0　　　　　　　　#手工静态配置的安全mac地址
27 Sticky MAC Addresses       : 0　　　　　　　　#sticky的安全地址
28 Last Source Address:Vlan   : 0000.0000.0000:0 #最近的一个安全地址+vlan
29 Security Violation Count   : 0　　　　　　　　#接口历史上出现过的违例次数

2. port-security的惩罚措施

1 Switch(config-if)#int f0/1
2 Switch(config-if)#switchport port-security violation restrict

protect :仅丢弃非法数据帧

restrict 丢弃非法数据帧同时产生一个syslog消息

shutdown 端口设置成err-disable,接口不可用 同时产生要给syslog消息

3.配置port-security最大允许的安全地址数量

Switch(config-if)#switchport port-security ?
  aging        Port-security aging commands　　#老化时间
  mac-address  Secure mac address　　　　　　　　#安全mac地址
  maximum      Max secure addresses　　　　　　 # 最大安全地址数量
  violation    Security violation mode　　　　　#惩罚措施

Switch(config-if)#switchport port-security maximum 1

4.配置port-security接口手工配置安全地址

 1 Switch(config-if)#int f0/1
 2 Switch(config-if)#switchport mode access
 3 Switch(config-if)#switchport access vlan 10
 4 Switch(config-if)#switc
 5 Switch(config-if)#switchport port-se
 6 Switch(config-if)#switchport port-security maxim
 7 Switch(config-if)#switchport port-security maximum 2
 8 Switch(config-if)#switchport prot
 9 Switch(config-if)#switchport port
10 Switch(config-if)#switchport port-security ?
11   aging        Port-security aging commands
12   mac-address  Secure mac address
13   maximum      Max secure addresses
14   violation    Security violation mode
15   <cr>
18 Switch(config-if)#switchport port-security mac-address xx